Il 26 marzo 2026 il Parlamento europeo ha approvato una serie di emendamenti alla proposta della Commissione europea volta a modificare e semplificare l’AI Act (Regolamento UE 1689/2024) nell’ambito del c.d. Digital Omnibus (Proposta del 19 novembre 2025, COM(2025) 836), aprendo così la fase dei negoziati con Consiglio e Commissione europea. Le modifiche incidono su alcuni snodi operativi della disciplina – dalle tempistiche di applicazione agli obblighi di trasparenza, fino al perimetro dei sistemi vietati – con effetti immediati sulle scelte organizzative e di compliance di fornitori e deployer coinvolti. La posticipazione degli obblighi per i sistemi ad alto rischio Il Parlamento interviene sul tema del rinvio degli obblighi per i sistemi di IA ad alto rischio introducendo un elemento che mancava nella proposta della Commissione: la certezza delle scadenze. In particolare, vengono fissate due date chiave: Fornitori e deployer avranno quindi più tempo per adeguarsi (gli obblighi erano inizialmente previsti rispettivamente per il 2 agosto 2026 e il 2 agosto 2027). Tuttavia, questo tempo aggiuntivo dovrà essere sfruttato per strutturare processi, responsabilità, controlli e dotarsi di una governance adeguata. Analoga logica si ritrova nella proroga degli obblighi di trasparenza, applicabili anche per quei sistemi che presentano un rischio limitato (es., chatbot). I fornitori avranno tempo di conformarsi all’obbligo di apporre una filigrana (watermarking) ai contenuti generati dall’IA quali audio, immagini, video o testi, al fine di indicarne l’origine fino al 2 novembre 2026. Tali obblighi avrebbero dovuto applicarsi a partire dal prossimo 2 agosto 2026. Il divieto dei “deep nude” Tra le modifiche più discusse vi è l’inclusione tra i sistemi vietati (Art. 5 dell’AI Act) di quelli in grado di generare o manipolare contenuti realistici sessualmente espliciti o intimi di persone fisiche identificabili senza il loro consenso. Tuttavia, la formulazione adottata dal Parlamento specifica che lo sviluppo di tali funzionalità non è di per sé vietato: il divieto non si applicherebbe, infatti, a quei sistemi che incorporano misure efficaci per impedire tali utilizzi. Questa modifica sposta l’attenzione su un piano operativo: progettazione, controlli, limitazioni tecniche e monitoraggio diventano elementi determinanti per la liceità del sistema. In tale ottica, dunque, la valutazione dell’adeguatezza delle misure tecniche di sicurezza adottate dai provider diventa essenziale alla luce del regime sanzionatorio applicabile, in base al quale l’ACN (Autorità per la Cybersicurezza Nazionale)[1] per queste violazioni può applicare sanzioni pecuniarie fino a 35 milioni di euro o al 7% del fatturato annuo globale. AI literacy: la formazione in materia di AI L’obbligo di garantire una formazione al personale coinvolto nel funzionamento e nell’uso dei sistemi di AI rappresenta uno dei primi obblighi ad essere entrato in vigore dell’AI Act (il 2 febbraio 2025). Il Parlamento riscrive la norma in un’ottica di “supporto”, con un’intensità inferiore rispetto alla versione corrente: fornitori e deployer dovranno supportare il miglioramento dell’alfabetizzazione in materia di IA per i propri dipendenti e le altre figure coinvolte. Viene, quindi, cassata la proposta iniziale della Commissione che prevedeva che l’alfabetizzazione dovesse essere considerata non più come obbligo, ma come un incoraggiamento[2]. La modifica proposta dal Parlamento non riduce infatti la rilevanza operativa del tema. La capacità delle persone coinvolte di comprendere e gestire i sistemi di AI incide direttamente sulla possibilità di rispettare obblighi più strutturati: dalla gestione del rischio alla supervisione umana, fino alla qualità dei dati. L’intervento della Commissione, chiamata – come previsto nel nuovo testo dell’Art. 4 dell’AI Act proposto dal Parlamento – a fornire orientamenti sull’attuazione di questo obbligo, conferma che il tema è destinato a incidere sulle scelte organizzative interne delle società. Registrazione dei sistemi ad alto rischio e trattamento dei dati “sensibili” Gli emendamenti intervengono anche su due ambiti operativi rilevanti. Sul fronte della registrazione, il Parlamento propone di mantenere l’obbligo di iscrizione nella banca dati UE dei sistemi ad alto rischio anche nei casi in cui il provider ritenga che il sistema non rientri in tale categoria. È una scelta che privilegia la trasparenza nelle situazioni di incertezza, riducendo i margini di autovalutazione non verificabile. Quanto al trattamento di categorie particolari di dati per il rilevamento e la correzione dei bias, viene ampliata la platea dei soggetti autorizzati, ma solo per il rilevamento e la correzione di bias che possano incidere negativamente sulla salute, sicurezza, diritti fondamentali delle persone o portare a discriminazione e fermo restando il criterio della stretta necessità. Ne emerge un’impostazione coerente con l’approccio europeo in materia di protezione dei dati[3]: apertura funzionale, ma accompagnata da un elevato livello di accountability. Conclusioni Il rinvio delle scadenze offre una finestra temporale che deve essere utilizzata per rafforzare i modelli di governance dell’AI. Allo stesso tempo, l’attenzione crescente sulla qualità delle misure tecniche e organizzative adottate rende sempre meno sostenibile un approccio meramente formale alla compliance. Infine, i margini di discrezionalità lasciati agli operatori – dalla valutazione dei rischi alla gestione dei dati – richiedono competenze interne adeguate e processi decisionali strutturati. In questa fase, dunque, provider, deployer e stakeholder coinvolti sono chiamati a utilizzare il tempo del trilogo non per attendere, ma per consolidare fin da ora modelli di governance coerenti con il quadro in evoluzione. [1] L’ACN è stata designata, con la L. 132/2025, come Autorità di vigilanza del mercato, responsabile della ricezione dei reclami relativi alle violazioni dell’AI Act, nonché dell’irrogazione delle sanzioni in caso di mancato rispetto delle disposizioni. [2] Il testo della proposta iniziale del Digital Omnibus prevedeva infatti che la Commissione e gli Stati membri avrebbero dovuto incoraggiare fornitori e deployer ad adottare misure volte a garantire un livello sufficiente di alfabetizzazione in materi di Ai per il personale e qualsiasi altra persona che si occupa del funzionamento e dell’utilizzo dei sistemi di AI per loro conto. [3] Per maggiori approfondimenti sulle proposte di modifica al GDPR e alla direttiva e-Privacy e al Parere Congiunto di EDPB e EDPS sul punto, si rinvia al nostro precedente contributo “Digital Omnibus e protezione dei dati: il parere congiunto di EDPB e EDPS tra semplificazione e rischi di incertezza”.
